WP Elementor 3.6.0/1/2 Esecuzione Remota di Codice

Google Dork: none
Data: 16 Aprile 2022
Autore Exploit: AkuCyberSec (https://github.com/AkuCyberSec)
Homepage del Venditore: https://elementor.com/
Link del Software: https://wordpress.org/plugins/elementor/advanced/ (scroll down to select the version)
Versione: 3.6.0, 3.6.1, 3.62
Testato su: WordPress 5.9.3 (os-independent since this exploit does NOT provide the payload)
CVE : CVE-2022-1329

DESCRIZIONE DELLA VULNERABILITÀ

Il plugin WordPress chiamato Elementor (v. 3.6.0, 3.6.1, 3.6.2) presenta una vulnerabilità che consente a qualsiasi utente autenticato di caricare ed eseguire qualsiasi file PHP.

Questa vulnerabilità, nell'OWASP TOP 10 2021, è posizionata al #1 (Broken Access Control)

Il file che contiene questa vulnerabilità è elementor/core/app/modules/onboarding/module.php

Alla fine di questo file si trova questo codice:

add_action( 'admin_init', function() {
		if ( wp_doing_ajax() &&
			isset( $_POST['action'] ) &&
			isset( $_POST['_nonce'] ) &&
			wp_verify_nonce( $_POST['_nonce'], Ajax::NONCE_KEY )
		) {
			$this->maybe_handle_ajax();
		}
	} );

Questo codice viene attivato ogni volta che QUALSIASI account utente visita /wp-admin

Per funzionare abbiamo bisogno delle seguenti 4 cose:

1. La chiamata deve essere una "ajax call" (wp_doing_ajax()) e il metodo deve essere POST. Per fare ciò, abbiamo solo bisogno di chiamare /wp-admin/admin-ajax.php
2. Il parametro "action" deve essere "elementor_upload_and_install_pro" (controlla la funzione chiamata maybe_handle_ajax() nello stesso file)
3. Il parametro "_nonce" deve essere recuperato dopo il login ispezionando la pagina /wp-admin (questo exploit lo fa nella funzione DoLogin)
4. Il parametro "fileToUpload" deve contenere l'archivio ZIP che vogliamo caricare (controlla la funzione chiamata upload_and_install_pro() nello stesso file)

Il file che carichiamo deve avere la seguente struttura:

1. Deve essere un file ZIP. Puoi chiamarlo come vuoi.
2. Deve contenere una cartella chiamata "elementor-pro"
3. Questa cartella deve contenere un file chiamato "elementor-pro.php"

Questo file sarà il TUO payload (es. PHP Reverse Shell o qualsiasi altra cosa)

ATTENZIONE: Il falso plugin che carichiamo verrà attivato da Elementor, il che significa che ogni volta che visitiamo una pagina attiviamo il nostro payload.

Se cerca, ad esempio, di connettersi a un host offline, potrebbe portare a un Denial of Service.

Per evitare ciò, suggerisco di utilizzare una variabile per attivare il payload.

Qualcosa come questo (visita anypage.php?activate=1 per proseguire con il payload effettivo):

if (!isset($_GET['activate']))
return;